jQuery AJAX 通过跨域发布到 https web api 操作

Question

我有一个天蓝色网站，其页面需要将包含敏感信息的表单发布到不同域上的服务，该域在服务上启用了 ssl 安全性。它是一个 MVC Web api，启用了 [RequireHttps] 和跨域请求。

跨域使用 jQuery post 发布敏感信息是否错误？这就是为什么最初在服务器上禁用 CORS 以便没有人执行此类操作吗？如果可以这样做，我如何保护使用 jQuery ajax 传递的信息？

jQuery 调用可能是这样的:

function workIt()
{
    $.support.cors = true;
    $.ajax({
        url: 'https://foo.net/api/web/doStuff',
        dataType: 'json',
        contentType: 'application/json; charset=utf-8',
        crossDomain: true,
        type: 'POST',
        success: function (data) {
                doSomething();
        }
    });
}

Answer 1

Is it wrong to post sensitive information with jQuery post via cross domain ?

没有

Is it why originally the CORS is disabled on the server so that nobody does this kind of operations ?

我不确定你所说的“最初”是什么意思。 CORS 是可选的，因为许多站点的安全性依赖于这样一个事实:无法从在另一个域上运行的脚本读取其页面。 CORS出现之前就是这样，所以为了保持向后兼容性，CORS的设计目的是让新站点自愿共享数据，而不是突然破坏所有旧站点。

我应该指出，简单、盲目的跨域 POST 始终是允许的——只需将表单的 action 设置为来自另一个站点的资源即可。在这里，您使用 CORS 是因为您正在消耗数据(对吗？)。此外，由于内容类型的原因，这不是一个简单的请求。

If this is ok to do, how can I secure the information passed with jQuery ajax?

没有太多内容。您当前的代码没有任何明显的危险信号。该代码做得特别正确的一件事是，它将数据作为 application/json 发布，从而减轻了 CSRF。